Mit tudnak és mit nem tudnak ellenőrizni az automatizált megfelelőségi szkennerek

Az automatizált szkennerek a weboldal-megfelelőség szokásos első lépésévé váltak. Gyorsak, egy manuális audithoz képest olcsók, és megismételhetők. Ugyanakkor könnyű túlságosan megbízni bennük. Ez az útmutató elmagyarázza, mit csinálnak valójában, hogy Ön helyesen tudja értelmezni a jelentést, és megfelelő szolgáltatást válasszon.

Hogyan működik egy szkenner

A legtöbb szolgáltatás egy valódi, automatizált böngészőben tölti be az oldalait, gyakran egy uniós helyszínről és tiszta profillal. Rögzíti a cookie-kat, a tárolt adatokat, a hálózati kéréseket és az oldal HTML-kódját, majd interakcióba lép a hozzájárulási bannerrel: elfogadja, elutasítja, vagy mindkettőt kipróbálja. Szabályok rendelik az észlelteket jogi követelményekhez, például „egy hirdetési szerverhez intézett kérés a hozzájárulás előtt” az ePrivacy-irányelv 5. cikk (3) bekezdéséhez. A jobb szolgáltatások bizonyítékként képernyőképeket, kérésnaplókat és időbélyegeket is megőriznek.

Miben erősek a szkennerek

• Követés a hozzájárulás előtt. A cookie-k és a harmadik félhez irányuló kérések felismerése bármilyen döntés előtt az alapvető erősségük, és egyben a gyakorlatban leggyakoribb jogsértés.
• A banner viselkedése. Létezik-e „Elutasítás” lehetőség, működik-e, és visszatérnek-e a követőkódok a navigáció után.
• Leltár. Lista minden cookie-ról, tárolási kulcsról és harmadik féltől származó szerverről, ami hasznos az adatvédelmi tájékoztatóhoz és a nyilvántartásokhoz.
• Meglétvizsgálatok. Elérhető-e minden oldalról az impresszum, az adatvédelmi tájékoztató és az ÁSZF.
• Az akadálymentesség alapjai. Kontraszt, hiányzó alternatív szöveg, címke nélküli mezők és hasonló, gépileg tesztelhető WCAG-kritériumok.
• Regresszió. Ha minden kiadás után újrafuttatja, kiszűri azt a címkét is, amelyet valaki pénteken adott hozzá.

Hol érnek a határaikhoz

• Dokumentumok és szerződések. Az adatkezelési tevékenységek nyilvántartása (GDPR 30. cikk), az adatfeldolgozói szerződések (28. cikk), az adattovábbítási garanciák és a hatásvizsgálatok (35. cikk) nem a weboldalon találhatók.
• Szerveroldali adatkezelés. A szerveroldali címkézés, a CRM-szinkronizálás és az, hogy mi történik a beküldött űrlapokkal, a böngészőből nem látható.
• Bejelentkezést igénylő területek és pénztár. Ha nem ad a szkennernek hozzáférési adatokat vagy tesztfiókokat, a fiókoldalak és a fizetési folyamatok kimaradnak.
• Tartalmi jelentés. Egy eszköz megállapíthatja, hogy az adatvédelmi tájékoztató említi a „megőrzést”; azt viszont nem tudja megerősíteni, hogy a megadott időtartam megfelel-e annak, amit a rendszerei ténylegesen tesznek.
• Jogi mérlegelés. Az, hogy egy jogos érdek felülmúlja-e a látogató jogait, vagy hogy egy cookie feltétlenül szükséges-e az Ön szolgáltatásához, mérlegelés kérdése.
• Manuális akadálymentesség. A billentyűzetes navigáció, a képernyőolvasóval történő használat és a kognitív terhelés vizsgálata az európai akadálymentesítési irányelv (European Accessibility Act) szerint emberi munkát igényel.

Hogyan válasszon szolgáltatást

Az általunk értékelt szolgáltatások kevésbé abban különböznek, hogy megtalálják-e a cookie-kat, mint abban, hogy mit kezdenek az eredménnyel. Érdemes feltenni a következő kérdéseket:

1. Terjedelem. Csak cookie-k és hozzájárulás, vagy adatvédelmi tájékoztató, impresszum, fogyasztóvédelmi jog és akadálymentesség is?
2. Interakció a hozzájárulással. Teszteli az elutasítás útját, vagy csak felsorolja a cookie-kat?
3. Bizonyítékok. Rögzíti-e a jelentés, hogy mikor, honnan és hogyan tesztelték az oldalt, olyan képernyőképekkel vagy kérésnaplókkal, amelyeket egy hatóságnak is bemutathatna?
4. Uniós mélység. Ismeri-e a nemzeti sajátosságokat, például az impresszumra vonatkozó szabályokat, a nyelveket és a hatósági iránymutatásokat azokban az országokban, ahol Ön értékesít?
5. Javítások. Minden megállapításhoz tartozik-e konkrét útmutatás, amely alapján a fejlesztője cselekedni tud?
6. Árátláthatóság. Nyilvánosak-e az árak és a korlátok, vagy csak ajánlatkérésre érhetők el?

Ezek a kérdések súlyozott formában a módszertani oldalunkon szereplő kritériumok. A hosszabb megállapításlista nem feltétlenül jobb: a téves riasztások fejlesztői időbe kerülnek, és az a jelentés, amely nem tud különbséget tenni egy feltétlenül szükséges és egy hirdetési cookie között, arra szoktatja a csapatokat, hogy figyelmen kívül hagyják.

Hozzájáruláskezelő platform vagy szkenner?

A hozzájáruláskezelő platform (CMP) működteti a bannert; a szkenner azt ellenőrzi, hogy a banner és az oldalon minden más úgy viselkedik-e, ahogy kell. Egyes szolgáltatók mindkettőt kínálják, és sok CMP tartalmaz cookie-vizsgálatot a cookie-lista feltöltéséhez. Ha már használ CMP-t, akkor is érdemes a CMP-n kívülről külön tesztelni az elutasítás útját, mert a leggyakoribb hiba egy helyesen telepített CMP, amelyet egyes címkék megkerülnek.